Auteur Sujet: 1er octobre 2021: nombreux changements pour Let's Encrypt  (Lu 28348 fois)

0 Membres et 2 Invités sur ce sujet

hwti

  • Abonné Orange Fibre
  • *
  • Messages: 2 237
  • Chambly (60)
2021: Android 7 et antérieures ne feront plus confiance à Let's Encrypt
« Réponse #36 le: 07 décembre 2020 à 00:51:44 »
Je n'ai pas trouvé de solution simple pour savoir si un smartphone a ou non le certificat racine de Let's Encrypt.
https://valid-isrgrootx1.letsencrypt.org présente bien une chaîne de certificats avec ISRG Root X1.
~  ᐅ openssl s_client -connect valid-isrgrootx1.letsencrypt.org:443
CONNECTED(00000003)
depth=1 C = US, O = Let's Encrypt, CN = Let's Encrypt Authority X3
verify return:1
depth=0 CN = valid-isrgrootx1.letsencrypt.org
verify return:1
---
Certificate chain
 0 s:CN = valid-isrgrootx1.letsencrypt.org
   i:C = US, O = Let's Encrypt, CN = Let's Encrypt Authority X3
 1 s:C = US, O = Let's Encrypt, CN = Let's Encrypt Authority X3
   i:C = US, O = Internet Security Research Group, CN = ISRG Root X1

Quand Firefox indique une chaîne avec "DST Root CA X3", c'est à priori qu'il a un "Let's Encrypt Authority X3" signé par celui-ci quelque part :
 - dans la liste des certificats (soit fourni avec Firefox, soit système) : à vérifier dans les options
 - en cache (il suffit d'avoir visité un site ayant fourni le certificat en question) : avec "firefox -ProfileManager", on peut créer un nouveau profil et ne charger que https://valid-isrgrootx1.letsencrypt.org

L'ennui pour le test est qu'il n'existe pas d'autorité intermédiaire non cross-signée, à part les futures Let's Encrypt E1/E2 qui sont en ECDSA (un autre problème potentiel pour les systèmes non mis à jour, je ne sais pas quelles sont les versions minimales pour tout bien supporter), qui ne sont pas encore utilisées.

On ne peut pas non plus avancer la date au delà de la validité de "DST Root CA X1", parce que c'est trop loin (les certificats émis par Let's Encrypt ne sont valides que 90 jours).

Marco POLO

  • Abonné Free fibre
  • *
  • Messages: 2 132
  • FTTH 1 Gb/s sur Paris (75)
2021: Android 7 et antérieures ne feront plus confiance à Let's Encrypt
« Réponse #37 le: 07 décembre 2020 à 02:33:04 »
https://valid-isrgrootx1.letsencrypt.org présente bien une chaîne de certificats avec ISRG Root X1....
C'est aussi bien en français !   ;)

hwti

  • Abonné Orange Fibre
  • *
  • Messages: 2 237
  • Chambly (60)
2021: Android 7 et antérieures ne feront plus confiance à Let's Encrypt
« Réponse #38 le: 07 décembre 2020 à 02:39:03 »
C'est aussi bien en français !   ;)
Non, letencrypt.org présente une chaîne de certificats avec DST Root CA X3, donc qui ne permet pas de tester ce qui se passera une fois que cette racine ne sera plus valide, et qu'il faudra obligatoirement utiliser ISRG Root X1.
La configuration recommandée actuelle est d'utiliser DST Root CA X3, mais à partir de janvier certains sites basculeront sur ISRG Root X1, et en septembre tout le monde devra l'avoir fait.

vivien

  • Administrateur
  • *
  • Messages: 47 086
    • Twitter LaFibre.info
2021: Android 7 et antérieures ne feront plus confiance à Let's Encrypt
« Réponse #39 le: 07 décembre 2020 à 07:30:52 »
L'ennui pour le test est qu'il n'existe pas d'autorité intermédiaire non cross-signée, à part les futures Let's Encrypt E1/E2 qui sont en ECDSA (un autre problème potentiel pour les systèmes non mis à jour, je ne sais pas quelles sont les versions minimales pour tout bien supporter), qui ne sont pas encore utilisées.
Merci, je comprends mieux pourquoi il n'y a pas de site de test.

Quand Firefox indique une chaîne avec "DST Root CA X3", c'est à priori qu'il a un "Let's Encrypt Authority X3" signé par celui-ci quelque part :
 - dans la liste des certificats (soit fourni avec Firefox, soit système) : à vérifier dans les options
 - en cache (il suffit d'avoir visité un site ayant fourni le certificat en question) : avec "firefox -ProfileManager", on peut créer un nouveau profil et ne charger que https://valid-isrgrootx1.letsencrypt.org
Mon souhait n'est pas de vérifier un Firefox de 2015, mais des smartphone Android < 7.1 pour lesquels il y a eu des mises à jour de sécurité, afin de voir si les mises à jour de sécurité ont mis à jour le certificat racine.

Je vais voir ce qu'affichent Chrome et d'autre navigateurs sur un ancien Android.

kgersen

  • Modérateur
  • Abonné Bbox fibre
  • *
  • Messages: 9 078
  • Paris (75)
2021: Android 7 et antérieures ne feront plus confiance à Let's Encrypt
« Réponse #40 le: 07 décembre 2020 à 08:24:08 »
Tu peux utiliser un produit comme browserstack.com pour tester une url sur plusieurs appareils. La version gratuite donne tres peu de temps par device donc faut pas trainer...



voila sur un Moto x 2nd gen android 6:



Sony Xperia Z5 Android 5:


hwti

  • Abonné Orange Fibre
  • *
  • Messages: 2 237
  • Chambly (60)
2021: Android 7 et antérieures ne feront plus confiance à Let's Encrypt
« Réponse #41 le: 07 décembre 2020 à 09:06:30 »
Mais là logiquement si on charge letsencrypt.org avant, ça devrait passer grâce au cache (mais pas après septembre bien sûr).

vivien

  • Administrateur
  • *
  • Messages: 47 086
    • Twitter LaFibre.info
2021: Android 7 et antérieures ne feront plus confiance à Let's Encrypt
« Réponse #42 le: 07 décembre 2020 à 10:45:57 »
J'ai fait des tests avec mon Samsung Galaxy S6 Edge, smartphone haut de gamme lancé en 2015 et livré avec Android 5.0.2 "Lollipop".
Il a eu le droit aux mises à jour vers Android 6.0.1 "Marshmallow" en 2016 et Android 7.0. "Nougat" en 2017.
Il a ensuite eu des mises à jour de sécurité jusqu'en juin 2018.
Cela fait un total de 3 ans de mise à jour de sécurité.

Voici les informations sur le logiciel :


Toutes les applications du Smartphone sont dans leur dernière version disponibles, on est donc avec Google Chrome 87 :



Voici ce que donne la page de test https://valid-isrgrootx1.letsencrypt.org/ avec Google Chrome 87 avec Android 7.0 + maj de sécurité jusqu'en juin 2018 :


SI je comprends bien, les mises à jour de sécurité jusqu'en juin 2018 n'ont pas mis à jour la liste de certificats racine de confiance ? Pourquoi ?

Autre question, le certificat utilisé a un double chemin ISRG Root X1 + DST Root X3 donc je ne comprends pas qu'il n'utilise pas le chemin alternatif, comme le fait bien un Firefox de 2015 sous Ubuntu 15.04.



vivien

  • Administrateur
  • *
  • Messages: 47 086
    • Twitter LaFibre.info
2021: Android 7 et antérieures ne feront plus confiance à Let's Encrypt
« Réponse #43 le: 07 décembre 2020 à 10:50:03 »
Après avoir mis en cache le certificat valide en visitant LaFibre.info +  reboot du téléphone, cela semble bien fonctionner. (Sans redémarrage du téléphone, je reste avec l'erreur)

A gauche Google Chrome 87, à droite le dernier version de Samsung Internet, la version 13.0.1.64 du 18 novembre 2020 qui se base sur Chromium 83 !



Après avoir supprimé toutes les données + cache de Samsung Internet via les paramètres Android :


hwti

  • Abonné Orange Fibre
  • *
  • Messages: 2 237
  • Chambly (60)
2021: Android 7 et antérieures ne feront plus confiance à Let's Encrypt
« Réponse #44 le: 07 décembre 2020 à 11:32:06 »
Si je comprends bien, les mises à jour de sécurité jusqu'en juin 2018 n'ont pas mis à jour la liste de certificats racine de confiance ? Pourquoi ?
Il faudrait demander à Google...
En regardant https://android.googlesource.com/platform/system/ca-certificates/+log/c36d8eb8071d73528993e024e73d40c6977b1d0d, on voit qu'aucune mise à jour de sécurité d'Android 7.0 (y compris jusqu'en mars 2019, Android 7.0.0 Release 36 (NBD92Y)) n'a mis à jour les certificats racine.
Le commit qui a ajouté ISRG Root X1, en aout 2016 (https://android.googlesource.com/platform/system/ca-certificates/+/51300a813051dcaaf3dc07000e92ed40a27a2b21), n'est effectivement disponible qu'en Android 7.1.

Autre question, le certificat utilisé a un double chemin ISRG Root X1 + DST Root X3 donc je ne comprends pas qu'il n'utilise pas le chemin alternatif, comme le fait bien un Firefox de 2015 sous Ubuntu 15.04.
Je ne vois pas trop comment ferait Firefox, il y a des chances que ça soit un cache.
Comme j'ai expliqué, tu peux vérifier la liste des autorités acceptées par Firefox (une combinaison de celles qui sont intégrées, et celles du système), et lancer avec un nouveau profil.

Après avoir mis en cache le certificat valide en visitant LaFibre.info +  reboot du téléphone, cela semble bien fonctionner. (Sans redémarrage du téléphone, je reste avec l'erreur)
Petit détail : c'est le certificat intermédiaire "Let's Encrypt Authority X3" (sa version signée par DST Root CA X3) qui est en cache, pas le certificat racine (ISRG Root X1) auquel le navigateur ne fait toujours pas confiance.
Sinon, redémarrer l'application, voire fermer l'onglet et en ouvrir un nouveau, devrait être suffisant.

En tout cas on voit bien la difficulté que peut poser ce genre de tests, mais ce n'est pas nouveau : un serveur web mal configuré qui enverrait uniquement son certificat (sans les certificats des autorités intermédiaire) aurait le même type de comportement en fonction du cache. Autant c'est probablement rare sur internet, autant sur les intranet des entreprises c'est plus courant.

vivien

  • Administrateur
  • *
  • Messages: 47 086
    • Twitter LaFibre.info
2021: Android 7 et antérieures ne feront plus confiance à Let's Encrypt
« Réponse #45 le: 07 décembre 2020 à 12:10:40 »
Je ne vois pas trop comment ferait Firefox, il y a des chances que ça soit un cache.
Comme j'ai expliqué, tu peux vérifier la liste des autorités acceptées par Firefox (une combinaison de celles qui sont intégrées, et celles du système), et lancer avec un nouveau profil.

Le navigateur ne peut pas utiliser le chemin alternatif tant qu'il est valide ? (en septembre 2021 ce second chemin ne devrait plus exister)

Dans ma copie d'écran de SSL Labs, c'est le Path#2


Quand Firefox indique une chaîne avec "DST Root CA X3", c'est à priori qu'il a un "Let's Encrypt Authority X3" signé par celui-ci quelque part :
 - dans la liste des certificats (soit fourni avec Firefox, soit système) : à vérifier dans les options
 - en cache (il suffit d'avoir visité un site ayant fourni le certificat en question) : avec "firefox -ProfileManager", on peut créer un nouveau profil et ne charger que https://valid-isrgrootx1.letsencrypt.org

Pour être sur que ni le système, ni Firefox n'a le certificat n'intègre le certificat racine de Let's Encrypt ISRG Root X1, j'ai mis en place une machine virtuelle Ubuntu 15.04 d'avril 2015. Ubuntu 15.04 n'est plus dans les dépôts, aucune mise à jour n'est possible et ne peut pas intégrer ISRG Root X1 qui n'existait pas encore en avril 2015.

Pour le cache, j'ai juste été sur LaFibre.info pour récupérer l'URL de test, donc par précaution j'ai supprimé le profil de Firefox (~/.mozilla) après avoir enregistré l'URL de test dans un fichier texte. Ensuite, je lance le Firefox 37 tout neuf et je copie / colle l'URL depuis mon fichier texte, mais il accepte bien le site https://valid-isrgrootx1.letsencrypt.org/


hwti

  • Abonné Orange Fibre
  • *
  • Messages: 2 237
  • Chambly (60)
2021: Android 7 et antérieures ne feront plus confiance à Let's Encrypt
« Réponse #46 le: 07 décembre 2020 à 13:49:36 »
En fait il y a un mécanisme que j'ignorais, et qui est probablement supporté par Firefox (mais peut-être pas les navigateurs mobiles).

Dans le certificat serveur de valid-isrgrootx1.letsencrypt.org, il y a :
            Authority Information Access:
                OCSP - URI:http://ocsp.int-x3.letsencrypt.org
                CA Issuers - URI:http://cert.int-x3.letsencrypt.org/

Et http://cert.int-x3.letsencrypt.org/ fournit (en format DER) le certificat de "Let's Encrypt Authority X3" signé par "DST Root CA X3".
Ils n'évoquent pas ce serveur, donc je ne sais pas quand ils vont lui faire retourner le certificat signé par "ISRG Root X1".

vivien

  • Administrateur
  • *
  • Messages: 47 086
    • Twitter LaFibre.info
2021: Android 7 et antérieures ne feront plus confiance à Let's Encrypt
« Réponse #47 le: 12 décembre 2020 à 17:04:54 »
J'ai fait des tests avec mon Samsung Galaxy S6 Edge, smartphone haut de gamme lancé en 2015 et livré avec Android 5.0.2 "Lollipop".
Il a eu le droit aux mises à jour vers Android 6.0.1 "Marshmallow" en 2016 et Android 7.0. "Nougat" en 2017.
Il a ensuite eu des mises à jour de sécurité jusqu'en juin 2018.
Cela fait un total de 3 ans de mise à jour de sécurité.

Incroyable, je viens de recevoir une mise à jour pour mon Samsung Galaxy S6 Edge sous Android 7 :